Technika Process Doppelgänging zahrnuje bezsouborovou injektáž kódu, která využívá zabudované funkce Windows.
Odborníci Kaspersky Lab odhalili novou variantu ransomwarového trojana SynAck. Využívá techniku Doppelgänging, díky níž je ransomware schopen obejít antivirové zabezpečení zařízení. Prostřednictvím této techniky, kterou odborníci u ransomwaru zaznamenali poprvé, schovají kyberzločinci svou zákeřnou aktivitu za oprávněné procesy.
Hackeři stojící za SynAck využívají i další triky, aby se vyhnuli detekování včetně testování v sandboxu. Po instalaci trojan přezkoumá adresář, ze kterého je spuštěn jeho spustitelný soubor, a pokud zaznamená pokus o jeho spuštění z „nesprávného“ adresáře – například potenciálního automatizovaného sandboxu – sám se vymaže.
Ransomware SynAck se objevil na podzim minulého roku a v průběhu prosince útočil na převážně anglofonní uživatele. K poměrně agresivním útokům využíval síťový protokol remote desktop protocol (RDP), po jehož iniciaci následovalo manuální stažení a instalace malwaru.
Technika Process Doppelgänging zahrnuje bezsouborovou injektáž kódu, která využívá zabudované funkce Windows a neoprávněnou implementaci systémové komponenty Windows process loader. Manipulací s tím, jak Windows zpracovává soubory, mohou útočníci do systému dostat škodlivé aktivity. Ty tímto způsobem vydávají za neškodné, i když používají běžně známé škodlivé kódy. Doppelgänging po sobě nezanechává žádné stopy, což velmi znesnadňuje jeho detekování. Využití této techniky bylo u ransomwaru pozorováno vůbec poprvé.
Útoky využívající novou variantu SynAck jsou podle všeho velmi dobře zacílené. Doposud zaznamenali několik útoků na území USA, Kuvajtu, Německa a Íránu. Kyberzločinci po obětech vyžadovali výkupné ve výši 3 000 dolarů.
